SPF breakage 101: Come superare il limite delle 10 ricerche

TL;DR

Il problema: SPF ha un rigido limite di 10 ricerche DNS. Se lo superi, anche le email legittime falliscono l'autenticazione.

Perché succede: Ogni servizio email (Google, Microsoft, Salesforce, ecc.) aggiunge ricerche. Le aziende moderne raggiungono rapidamente il limite.

Soluzioni fallite:

• Flattening (elenco manuale degli IP) – si rompe quando i fornitori cambiano IP
• Più record SPF – viola le specifiche
• Ignorare il problema – provoca errori di recapito

La soluzione reale: Dynamic SPF monitora automaticamente i cambi IP dei fornitori e ti mantiene sotto le 10 ricerche senza lavoro manuale.

In sintesi: Gli espedienti tradizionali per SPF falliscono. Dynamic SPF risolve definitivamente il problema del limite di ricerche.

SPF sembra semplice, finché non lo è più. Il protocollo limita le valutazioni DNS a 10 ricerche per verifica. Se tocchi questo limite (spesso tramite catene di “include:” annidate da molteplici piattaforme SaaS), i destinatari smettono di valutare e restituiscono un errore SPF permanente. Seguono errori intermittenti, l’allineamento DMARC si interrompe e la recapito delle email viene compromesso.

Controlla subito il tuo DNS con lo strumento SPF checker gratuito di Red Sift.lo strumento SPF checker gratuito di Red Sift.

Le infrastrutture moderne crescono organicamente: automazione marketing, notifiche prodotto, helpdesk, fatturazione, relay regionali. Ognuno aggiunge degli include SPF. Dopo qualche acquisizione, senza accorgertene superi il limite. Risultato: messaggi che “a volte” falliscono senza nessuna causa visibile—un incubo da diagnosticare.

Non tutti i meccanismi nel tuo record SPF richiedono una ricerca, ecco perché il limite sorprende molti. Ecco cosa conta davvero:

• Conta per il limite di 10: include, a, mx, ptr, exists e il modificatore redirect
• Non conta: ip4, ip6 e all, poiché sono letti direttamente dal record senza query DNS

Presta particolare attenzione a mx e ptr. Ognuno può richiedere più di una ricerca, dato che il destinatario risolve ogni record restituito, non solo il primo. Sostituire una catena di include complessa con intervalli ip4 pubblicati è il modo più rapido per recuperare margine, ma questo si rompe se un fornitore cambia IP. È proprio il compromesso che Dynamic SPF elimina.

1. Riduci la profondità. Sostituisci gli include di secondo livello dei fornitori con netblock pubblicati o sub-include dedicati dove i provider lo permettono.
2. Preferisci DKIM per l’allineamento. DKIM soddisfa il DMARC anche quando SPF si rompe per via dell’inoltro delle email.
3. Consolida i mittenti. Disattiva i servizi inutilizzati; sposta i sistemi a basso volume dietro un unico relay.
4. Scala le modifiche alle policy. Pubblica DMARC in modalità p=none, risolvi l’allineamento, monitora, poi rafforza a quarantine e reject.

Passo bonus: Supera il limite delle 10 ricerche con Red Sift OnDMARC. Il nostro Dynamic SPF fornisce una soluzione affidabile consolidando i record e rimuovendo la necessità di macro.

Nota: Non ogni mittente necessita di un include SPF. Assicurati che il return path sia nel tuo dominio root prima di aggiungere il meccanismo, poiché SPF viene controllato contro il return path. Se il mittente usa un sottodominio o un altro dominio, aggiungere il meccanismo al root è uno spreco di risorse internet.

• I report DMARC indicano quali IP/servizi stanno fallendo, permettendoti di intervenire in sicurezza.
• Esegui controlli live prima/dopo cambi DNS per evitare sorprese durante la propagazione.

Red Sift OnDMARC include la tecnologia Dynamic SPF che elimina il vincolo delle 10 ricerche DNS senza compromettere la sicurezza o la deliverabilità delle email.[1]

Invece di usare record SPF tradizionali che fanno riferimento a domini di terzi (ogni riferimento consuma preziose ricerche), Dynamic SPF mantiene un unico record appiattito aggiornato automaticamente in tempo reale da Red Sift. La piattaforma monitora costantemente tutti i servizi email autorizzati per i cambi di indirizzo IP e aggiorna immediatamente il record SPF quando i fornitori modificano la loro infrastruttura.

1. Monitoraggio automatico: Red Sift traccia in tempo reale tutti gli indirizzi IP dei servizi email (Google Workspace, Microsoft 365, Salesforce, HubSpot, ecc.).
2. Flattening intelligente: La piattaforma converte gli include SPF basati su dominio in indirizzi IP, riducendo drasticamente il conteggio delle ricerche e mantenendo la copertura totale.
3. Aggiornamenti proattivi: Quando un fornitore cambia gli IP di invio, Red Sift lo rileva e aggiorna il record SPF automaticamente, di solito in pochi minuti.
4. Zero interventi manuali: A differenza del flattening manuale che richiede monitoraggio e aggiornamenti continui, Dynamic SPF gestisce tutto in autonomia.

Le organizzazioni possono aggiungere tutti i servizi email necessari senza preoccuparsi del limite delle 10 ricerche. Dynamic SPF mantiene un unico record SPF ottimizzato che resta sempre sotto la soglia, garantendo l’autenticazione dei messaggi legittimi. Niente più scelte forzate tra servizi o rischio di rompere SPF mentre l’azienda cresce e adotta nuovi strumenti.

Questo approccio automatizzato solleva i team IT e sicurezza dal dover monitorare manualmente i cambi IP dei fornitori o mantenere configurazioni SPF complesse.

• Usa Red Sift Investigate per una rapida validazione SPF/DMARC su più domini.
• Passa a OnDMARC per automatizzare la scoperta dei mittenti e mantenere i record SPF snelli con l’aggiunta di nuovi strumenti nei team. Risultato: allineamento stabile, meno falsi positivi e una consegna affidabile nella inbox.